Trojan.Encoder.43029

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\desktop.ini

Вредоносные функции

Для затруднения выявления своего присутствия в системе

удаляет теневые копии разделов.

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\thunderbird\profiles.ini
%APPDATA%\mozilla\firefox\profiles.ini
%HOMEPATH%\desktop\coffee.bmp
%HOMEPATH%\desktop\contoso.cer
%HOMEPATH%\desktop\contosoroot.cer
%HOMEPATH%\desktop\contosoroot_1.cer
%HOMEPATH%\desktop\cveuropeo.doc
%HOMEPATH%\desktop\dashborder_144.bmp
%HOMEPATH%\desktop\february_catalogue__2015.doc
%HOMEPATH%\desktop\fi51.doc
%HOMEPATH%\desktop\glidescope_review_rev_010.docx
%HOMEPATH%\desktop\nwfieldnotes1966.docx
%HOMEPATH%\desktop\sdkfailsafeemulator.cer
%HOMEPATH%\desktop\testcertificate.cer
%HOMEPATH%\desktop\toolbar.bmp

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\7ef07f8e227542c7b23e820f9488e200
%LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\localstate\appiconcache\100\zn=bv5!!!!!!!!!mkksklync_corefiles_pwruq7^c^ap,f'm!t7ym
%HOMEPATH%\desktop\istruzioni-recupero.html
%HOMEPATH%\documents\istruzioni-recupero.html
%HOMEPATH%\downloads\istruzioni-recupero.html
%HOMEPATH%\pictures\istruzioni-recupero.html
%TEMP%\wjlehw5prtphkqws.part
%WINDIR% \system32\netplwiz.exe
%WINDIR% \system32\netplwiz.dll

Изменяет следующие файлы

%HOMEPATH%\3d objects\desktop.ini
%LOCALAPPDATA%\packages\microsoft.microsoftofficehub_8wekyb3d8bbwe\ac\microsoft\internet explorer\domstore\r112h4t5\microsoft[1].xml
%LOCALAPPDATA%\comms\unistoredb\store.jfm
%LOCALAPPDATA%\packages\microsoft.microsoftofficehub_8wekyb3d8bbwe\localcache\local\microsoft\clr_v4.0\usagelogs\localbridge.exe.log
%LOCALAPPDATA%\connecteddevicesplatform\l.user\activitiescache.db
%LOCALAPPDATA%\packages\microsoft.microsoftofficehub_8wekyb3d8bbwe\settings\settings.dat
%LOCALAPPDATA%\connecteddevicesplatform\l.user\activitiescache.db-shm
%LOCALAPPDATA%\packages\microsoft.microsoftofficehub_8wekyb3d8bbwe\systemappdata\helium\user.dat
%LOCALAPPDATA%\packages\microsoft.microsoftofficehub_8wekyb3d8bbwe\systemappdata\helium\userclasses.dat
%LOCALAPPDATA%\packages\microsoft.microsoftsolitairecollection_8wekyb3d8bbwe\settings\settings.dat
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\chrome_100_percent.pak
%LOCALAPPDATA%\packages\microsoft.microsoftstickynotes_8wekyb3d8bbwe\settings\settings.dat
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\chrome_200_percent.pak
%LOCALAPPDATA%\packages\microsoft.mixedreality.portal_8wekyb3d8bbwe\settings\settings.dat
%LOCALAPPDATA%\packages\microsoft.mspaint_8wekyb3d8bbwe\settings\settings.dat
%LOCALAPPDATA%\packages\microsoft.office.onenote_8wekyb3d8bbwe\settings\settings.dat
%LOCALAPPDATA%\packages\microsoft.people_8wekyb3d8bbwe\settings\settings.dat
%LOCALAPPDATA%\packages\microsoft.screensketch_8wekyb3d8bbwe\settings\settings.dat
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\default_apps\docs.crx
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\default_apps\drive.crx
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\default_apps\external_extensions.json
%LOCALAPPDATA%\packages\microsoft.skypeapp_kzf8qxf38zg5c\localstate\diagoutputdir\skypeapp0.txt
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\default_apps\gmail.crx
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\default_apps\search.crx
%LOCALAPPDATA%\packages\microsoft.skypeapp_kzf8qxf38zg5c\localstate\dtlscert.der
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\default_apps\youtube.crx
%LOCALAPPDATA%\packages\microsoft.skypeapp_kzf8qxf38zg5c\localstate\dtlskey.der
%LOCALAPPDATA%\google\chrome\application\47.0.2526.106\extensions\external_extensions.json
%LOCALAPPDATA%\packages\microsoft.skypeapp_kzf8qxf38zg5c\localstate\slimcore-aria-cache.data-shm
%LOCALAPPDATA%\packages\microsoft.skypeapp_kzf8qxf38zg5c\localstate\slimcore-aria-cache.data-wal